小红伞疯掉了！用文件名来判断病毒？

显示全部楼层 · 发表于 2008-4-12 05:38:42

原帖由 hddgmon 于 2008-4-11 23:28 发表
俺也实验了一下，果然诡异～～

貌似只要改成字母双后缀就会报，但是图555.jpg只用数字做文件名就不会报～～

诡异～～

这个就是看扩展名啊

显示全部楼层 · 发表于 2008-4-12 07:40:21

原帖由 zwl2828 于 2008-4-11 21:22 发表
小红伞会检测双（多）扩展名，并没有说是病毒
只是说是可疑，更不能说是靠文件名判定木马！！

正解！

如果不选择这个设置，双扩展名也不会报了

但是针对当前的病毒，双扩展名基本没有什么意义

显示全部楼层 · 发表于 2008-4-12 08:05:27

bt没下载完不也是双扩展名？
比如长江七号.rmvb.bt!

显示全部楼层 · 发表于 2008-4-12 08:38:30

原帖由 wayaya 于 2008-4-12 07:40 发表

正解！

如果不选择这个设置，双扩展名也不会报了

但是针对当前的病毒，双扩展名基本没有什么意义

前面不是说了把红伞双扩展名设置的勾勾去掉还会报吗？为什么不亲自试一下就出结论呢？

另:不是说红伞不会监控压缩包的吗?怎么把鼠标放在压缩包上就报警了？

[ 本帖最后由 solid_van 于 2008-4-12 08:42 编辑 ]

显示全部楼层 · 发表于 2008-4-12 09:30:59

这个与双扩展名没有关系，我试验的结果是（当然不一定对）：如果exe文件是用ASPack等压缩了的，把文件名修改为 xxx.doc.exe或 xxx.rar.exe等，就会说误报。看我附件中的文件，是用ASPack压缩的，如果改名的话，就会误报，如果把它脱壳后，再修改，就不会误报。

显示全部楼层 · 发表于 2008-4-12 10:12:05

潜水高人也浮出来了，如果就这样的话，还是红伞对壳超级敏感。好处是可以大幅检测未知病毒，坏处就是可以被高人随便整，如果这样的样本给vb一个的话，红伞就一万年过不了vb了。希望红伞改进处理机制。

显示全部楼层 · 发表于 2008-4-12 10:52:17

原帖由 solid_van 于 2008-4-12 08:38 发表

前面不是说了把红伞双扩展名设置的勾勾去掉还会报吗？为什么不亲自试一下就出结论呢？

另:不是说红伞不会监控压缩包的吗?怎么把鼠标放在压缩包上就报警了？

兄弟，我就是用你的文件试的啊

是对解压缩以后的lame.exe改名的了

显示全部楼层 · 发表于 2008-4-12 10:55:22

这个帖子对红伞的低调做出很大贡献

显示全部楼层 · 发表于 2008-4-12 10:56:38

是不是哦~

显示全部楼层 · 发表于 2008-4-12 10:57:07

今天我也遇到了相似的问题, 一直使用的软件中存在inject.dll文件,以前使用从未报警,今天不知怎么搞得,一直报警.

[砖头] 小红伞疯掉了！用文件名来判断病毒？